Я тоже вижу ровно то же самое в своей UDW-настройке. У меня включены блокировка рекламы и региональные ограничения. Неважно, какое правило файрвола установлено, мои IoT-устройства связываются с 1.1.1.1 и 8.8.8.8, обходя правила файрвола, даже если я блокирую 53-й порт или IP-адреса. Я пробовал создать правило DNat, чтобы направлять весь трафик 53-го порта на шлюз, но это тоже не помогло. IoT-устройства напрямую выходят на эти IP-адреса через 53-й порт. Я выяснил, что если отключить блокировку рекламы и фильтрацию контента в UDW, файрвол сможет заблокировать доступ к внешним DNS. Но если хоть одно из этих настроек включено, то это не работает. Вам когда-нибудь удалось решить эту проблему?

@travis.vitek Спасибо за обратную связь! У вас случайно не отключено блокирование рекламы UniFi во вкладке "Защита" в настройках безопасности? У меня нет Pi-Hole, я полагаюсь на UniFi для блокировки рекламы, поэтому я включил блокировку рекламы во всех 6 своих сетях.

Как еще один тест, я отключил блокировку рекламы в UniFi, и мои правила ZBF начали работать, а DNS-трафик к 9.9.9.11 был заблокирован. Хотя, как и вы, я не видел этот теперь заблокированный трафик в Flows, мои запросы истекали по времени, как показано на картинке ниже.

Затем я заметил свой нелокальный DNS-трафик в Flows, который не блокировался правилами брандмауэра, теперь тоже показывал выход через Primary (WAN1) и зону назначения External, в отличие от того, когда включена блокировка рекламы.





Я также протестировал настройку Masquerade NAT, когда блокировка рекламы UniFi была отключена, и она успешно работала. После подтверждения того, что это работает, я отключил правило перенаправления DNS NAT и включил обратно блокировку рекламы UniFi.

Затем я выполнил тесты nslookup для googleads.g.doubleclick.net и google-analytics.com, которые я знаю, что блокировка рекламы UniFi блокирует, и заметил, что, хотя запросы к 9.9.9.11 больше не истекали по времени, они возвращали адрес 0.0.0.0, и Flows указывали на то, что эти запросы на самом деле были заблокированы из-за блокировки рекламы.

Я получил захват пакетов с UDM сети Infrastructure, в которой находится мое устройство, и могу видеть трафик туда и обратно к 9.9.9.11, однако, мой захват пакетов на Primary (WAN1) не указывает на то, что трафик идет к 9.9.9.11. Кроме того, захваченные DNS-запросы были только к ui.com, google.com и www.microsoft.com, которые, я полагаю, для встроенных проверок задержки UniFi. Даже несмотря на то, что я также включил Encrypted DNS на UDM, я бы ожидал увидеть какой-то трафик, идущий к IP-адресу 9.9.9.11.

Я не совсем уверен, что из этого следует, но предполагаю, что это означает, что мои DNS-запросы к внешним серверам каким-то образом направляются через UDM в любом случае, поэтому, возможно, это не проблема. Я все еще интересно, почему эта функция ранее работала на UniFi OS v4.1.22 и теперь больше не работает для меня на v4.2.12, однако, основываясь на моих новых тестах, я не уверен, хочу ли я откатываться.